医療記録システムおよび医療記録方法
【課題】複数工程に亘り提供される医療行為の連携状況を記録する。
【解決手段】情報端末が、複数の工程毎に、その工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、その工程において提供された医療行為の内容を示す工程情報との入力を受付け、情報サーバが、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報を記憶し、電子カルテ情報を記憶すると、その電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませる。
【解決手段】情報端末が、複数の工程毎に、その工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、その工程において提供された医療行為の内容を示す工程情報との入力を受付け、情報サーバが、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報を記憶し、電子カルテ情報を記憶すると、その電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、患者が提供される医療行為を記録する技術に関する。
【背景技術】
【０００２】
特許文献１には、商店等における売買や、医療機関における医療行為等のサービスの提供者に予めＩＣ（Integrated Circuit）カードを発行し、サービス提供の際にＩＣカードを用いた本人認証を行う技術が記載されている。ここでは、電子署名技術における時刻証明を用いて、証明書に記載された時刻が、確かにそのサービスが提供された時刻であるか否かなどによりサービス提供者の正当性を検証している。特許文献２には、ＩＣカードを用いた電子署名により、医療行為における診療報酬明細書であるレセプトの正当性を検証する技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−１２６８６５号公報
【特許文献２】特開２００９−１４００５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、図９に示すように、一連の医療行為は診察、薬剤作成、投薬などの複数工程に亘って提供され、個々の工程の医療行為提供者が異なっている場合がある。例えば、薬剤作成工程においては、薬剤を作成する薬剤師が、診察工程における医師の診察結果を取り違えたり読み間違えたりすることなく、診察結果に応じた薬剤を作成することが求められる。あるいは、投薬工程において、例えば薬剤が注射器により投薬するものであれば、薬剤師によって作成された薬が取り違えられることなく、投薬されることが求められる。そこで、各工程において「薬剤が正確に生成されたかどうか」「投薬が取り違えられた事実があるかどうか」といった医療行為を時系列で記録し、内容を証明することが重要となる。したがって、患者に対して行われた一連の医療行為において、処方どおりの正しい薬が投与されたかどうか、誰（医師）が作成した処方箋を元に、誰（薬剤師）が処方し、誰（医師）によって薬が投与されたかといった行為の正しさと行為の連続性を検証できることが望ましい。また、医療過誤といった事故が起こった際、当事者である患者本人のみの意思で、医療行為における各工程の行為とその正しさを検証できることが望ましい。
【０００５】
本発明は、このような状況に鑑みてなされたもので、複数工程に亘り提供される医療行為の連携状況を記録する医療記録システムおよび医療記録方法を提供する。
【課題を解決するための手段】
【０００６】
上述した課題を解決するために、本発明は、複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、複数の工程毎の医療行為提供者に対応する情報端末と、情報端末に接続された情報サーバとを備えた医療記録システムであって、情報端末は、複数の工程毎に、工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、工程において提供された医療行為の内容を示す工程情報との入力を受付ける入力部を備え、情報サーバは、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報が記憶される電子カルテ記憶部と、電子カルテ記憶部に電子カルテ情報が記憶されると、電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませるハッシュ値算出部と、を備えることを特徴とする。
【０００７】
また、本発明は、医療記録システムが、可搬媒体に書き込まれたハッシュ値を読み出す検証端末を備え、情報サーバは、検証端末が可搬媒体に書き込まれたハッシュ値を読み出すと、ハッシュ値算出部に、電子カルテ記憶部に記憶された電子カルテ情報に基づいてハッシュ値を算出させ、算出されたハッシュ値と、読み出し部が読み出したハッシュ値とを比較し、一致すれば検証成功と判定し、一致しなければ検証失敗と判定する検証部と、を備えることを特徴とする。
【０００８】
また、本発明は、可搬媒体が、ユーザに対して予め生成された秘密鍵と公開鍵とが記憶される記憶部と、乱数を生成する乱数生成部と、乱数生成部によって生成された乱数を、ハッシュ関数を用いてハッシュ化したセッションＩＤを生成するセッションＩＤ生成部と、セッションＩＤを、記憶部から読み出した秘密鍵を用いて署名生成して電子署名データを生成する署名データ生成部と、セッションＩＤと電子署名データとを情報端末に送信する送信部と、セッションＩＤと、情報サーバから送信されるハッシュ値とが対応付けられて履歴情報として記憶される履歴情報記憶部と、を備え、情報端末は、可搬媒体から送信されたセッションＩＤと電子署名データとを受信し、セッションＩＤと電子署名データと工程情報とを対応付けて情報サーバに送信し、検証端末は、可搬媒体に記憶された履歴情報と公開鍵とを読み出して情報サーバに送信し、情報サーバの、電子カルテ記憶部には、情報端末を介して送信された、可搬媒体によって生成された電子署名データと、電子カルテ情報とが対応付けられて記憶され、検証部は、検証端末が読み出した履歴情報と公開鍵とに基づいて、電子署名データを署名検証することを特徴とする。
【０００９】
また、本発明は、情報サーバの電子カルテ記憶部には、セッションＩＤが、関連する複数工程の医療行為を識別する情報として電子カルテ情報に対応付けられて記憶されることを特徴とする。
【００１０】
また、本発明は、医療記録システムが、各工程において医療行為に用いられる医療器具に貼付されるＲＦＩＤを備え、情報端末は、ハッシュ値算出部によって算出されたハッシュ値を、後工程において用いられる医療器具に貼付されたＲＦＩＤに記憶させる書き込み部を備えることを特徴とする。
【００１１】
また、本発明は、複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、複数の工程毎の医療行為提供者に対応する情報端末と、情報端末に接続された情報サーバとを備えた医療記録システムの医療記録方法であって、情報端末が、複数の工程毎に、工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、工程において提供された医療行為の内容を示す工程情報との入力を受付けるステップと、情報サーバが、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報を記憶するステップと、電子カルテ記憶部に電子カルテ情報が記憶されると、電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませるステップと、を備えることを特徴とする。
【発明の効果】
【００１２】
以上説明したように、本発明によれば、情報端末が、複数の工程毎に、その工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、その工程において提供された医療行為の内容を示す工程情報との入力を受付け、情報サーバが、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報を記憶し、電子カルテ情報を記憶すると、その電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませるようにしたので、複数工程に亘り提供される個々の医療行為の連携状況を記録することが可能となる。これにより、複数工程に亘り提供された個々の医療行為が、正しく連携した医療行為であるか否かを検証することが可能となる。また、医療過誤といった事故が起こった際、当事者である患者本人のみの意思で、医療行為における各工程の行為とその正しさを検証できる。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施形態による情報システムが備えるコンピュータ装置の配置例を示す図である。
【図２】本発明の一実施形態による情報システムの構成を示すブロック図である。
【図３】本発明の一実施形態による電子カルテ記憶部に記憶される電子カルテ情報のデータ例を示す図である。
【図４】本発明の一実施形態による情報システムの診察工程における動作例を示すシーケンス図である。
【図５】本発明の一実施形態による情報システムの薬剤作成工程における動作例を示すシーケンス図である。
【図６】本発明の一実施形態による情報システムの投薬工程における動作例を示すシーケンス図である。
【図７】本発明の一実施形態による情報サーバに記憶された電子カルテ情報の検証処理の動作例を示すシーケンス図である。
【図８】本発明の一実施形態による一連の医療行為の関連を示す図である。
【図９】従来の一連の医療行為の関連を示す図である。
【発明を実施するための形態】
【００１４】
以下、本発明の一実施形態について、図面を参照して説明する。
図１は、本実施形態による情報システム１が備えるコンピュータ装置の配置例を示す図である。医療機関における受付などに、検証端末５００およびＩＣリーダライタ５３０が配置され、診察室には、医師により用いられる情報端末２００−１およびＩＣリーダライタ２３０−１が配置され、薬局には、薬剤師により用いられる情報端末２００−２およびＩＣリーダライタ２３０−２が配置され、病室には、医師により用いられる情報端末２００−３およびＩＣリーダライタ２３０−３が配置され、システム管理室には、システム管理者により用いられる情報サーバ６００が配置される。これらのコンピュータ装置は、ネットワークを介して接続される。
【００１５】
図２は、本実施形態による情報システム１の構成を示すブロック図である。情報システム１は、図１に示した各コンピュータ装置に加え、患者であるユーザのＩＣカード１００と、診察および投薬を行う医師のＩＣカード３００−１と、薬剤作成を行う薬剤師のＩＣカード３００−２と、薬剤等に貼付されるＲＦＩＤ（Radio Frequency IDentification）タグ４００を備えている。ここでは、医師により用いられるコンピュータ装置を情報端末２００−１の１台として、図１における情報端末２００−３の機能を兼ねるとして説明する。
【００１６】
ＩＣカード１００は、複数の工程に亘る医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体である。ＩＣカード１００は、記憶部１１０と、通信部１２０と、本人認証部１３０と、乱数生成部１４０と、セッションＩＤ生成部１５０と、署名データ生成部１６０とを備えている。
記憶部１１０には、例えば、患者公開鍵Ｋｐ１と、患者秘密鍵Ｋｓ１と、サーバ公開鍵Ｋｐ２と、患者情報と、履歴情報とが記憶される。患者公開鍵Ｋｐ１と患者秘密鍵Ｋｓ１とは、公開鍵暗号方式に基づいて予め生成され記憶された、ＩＣカード１００のユーザに固有の鍵情報である。サーバ公開鍵Ｋｐ２は、公開鍵暗号方式に基づいて生成された情報サーバ６００の秘密鍵に対応する公開鍵である。患者情報は、記憶部１１０のユーザである患者を識別する情報である。患者情報は、例えば、氏名のみでも良いし、患者に対して一意に割り当てられたＩＤ（識別情報）などでも良いし、生年月日や住所などの属性情報が含まれるようにしても良い。履歴情報は、ＩＣカード１００に対応するユーザが提供された一連の医療行為の履歴を示す情報である。例えば、履歴情報には、関連する複数工程の医療行為（セッション）を識別するセッションＩＤ、セッション毎に生成される乱数Ｒ、セッション毎の医療行為に基づいて生成されたハッシュ値Ａ２などが含まれる。
【００１７】
通信部１２０は、検証端末５００のＩＣリーダライタ５３０や情報端末２００−１のＩＣリーダライタ２３０−１と通信を行う。
本人認証部１３０は、ＩＣカード１００のユーザの本人認証を行う。例えば、本人認証部１３０は、定められたパスワードを自身の記憶領域に予め記憶し、検証端末５００や情報端末２００−１に入力され通信部１２０を介して受信するパスワードと一致するか否かを判定するＰＩＮ（Personal identification number）認証を行う。ここでは、本人認証部１３０は、予め記憶したパスワードと、入力されたパスワードとが一致すれば認証成功と判定し、一致しなければ認証失敗と判定して認証結果を出力する。
【００１８】
乱数生成部１４０は、情報端末２００−１から送信される「署名データＳとセッションＩＤとの取得要求」に応じて、乱数Ｒを生成する。
セッションＩＤ生成部１５０は、乱数生成部１４０が生成した乱数Ｒを、定められたハッシュ関数によりハッシュ化してＲ´を生成し、生成したＲ´をセッションＩＤとして記憶部１１０に記憶させる。
署名データ生成部１６０は、乱数生成部１４０によって生成された乱数Ｒに基づく署名データＳを生成する。署名データ生成部１６０は、セッションＩＤ生成部１５０によってハッシュ化されたＲ´を、サーバ公開鍵Ｋｐ２によって暗号化して暗号化データＲ´（Ｋｐ２）を生成する。そして、署名データ生成部１６０は、生成したＲ´（Ｋｐ２）を、患者秘密鍵Ｋｓ１を用いて署名生成し、電子署名データＳを生成する。ここでは、ＩＣカード１００の乱数生成部１４０が乱数Ｒを生成する例を説明するが、外部のコンピュータ装置（例えば、検証端末５００や情報端末２００−１）が生成した乱数Ｒを、通信部１２０を介して受信するようにしても良い。この場合、乱数Ｒを生成したコンピュータ装置は、生成した乱数ＲをＩＣカード１００に送信した後に、乱数Ｒを自身の記憶領域から削除する。
【００１９】
情報端末２００−１と情報端末２００−２とは同様の構成であるため、特に区別して説明する必要がない場合には情報端末２００として説明する。ここでは、２台の情報端末２００を示して説明するが、情報システム１は３台以上の情報端末２００（情報端末２００−１、情報端末２００−２、・・・情報端末２００−Ｎ）を備えるようにしても良い。情報端末２００は、複数の工程毎の医療行為提供者に対応するコンピュータ装置であり、入力部２１０と、通信部２２０と、ＩＣリーダライタ２３０とを備えている。
【００２０】
入力部２１０は、複数の工程毎に、その工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、その工程において提供された医療行為の内容を示す工程情報との入力を受付ける。例えば、診察工程においては、情報端末２００−１の入力部２１０−１に、患者に投薬する薬剤の処方箋などの情報が医師によって入力される。薬剤作成工程においては、情報端末２００−２の入力部２１０−２に、処方箋に基づいて作成された薬剤の情報が薬剤師によって入力される。投薬工程においては、情報端末２００−１の入力部２１０−１に、患者に投薬したことを示す情報が医師によって入力される。以下、診察工程において入力される情報を工程情報（診察）とし、薬剤作成工程において入力される情報を工程情報（薬剤作成）とし、投薬工程において入力される情報を工程情報（投薬）として説明する。
【００２１】
通信部２２０は、ネットワークを介して情報サーバ６００と通信を行う。
ＩＣリーダライタ２３０は、ＩＣチップが備えられるＩＣカード１００、ＩＣカード３００−１、ＩＣカード３００−２、ＲＦＩＤタグ４００などと接触型または非接触型の通信を行い、ＩＣチップに記憶された情報の読み書きを行う。例えば、ＩＣリーダライタ２３０は、ＩＣカード１００の本人認証部１３０やＩＣカード３００の本人認証部３１０などと通信して、本人認証を行う。また、ＩＣリーダライタ２３０は、情報サーバ６００のハッシュ値生成部６３０によって算出されたハッシュ値Ａ１を、後工程において用いられる薬剤や注射器などの医療器具に貼付されたＲＦＩＤタグ４００に記憶させる。
【００２２】
ＩＣカード３００−１は、診察および投薬を行う医師を識別する情報が記憶されるＩＣカードであり、ＩＣカード３００−２は、薬剤作成を行う薬剤師を識別する情報が記憶されるＩＣカードである。ここで、ＩＣカード３００−１とＩＣカード３００−２とは同様の構成であるため、特に区別して説明する必要がない場合にはＩＣカード３００として説明する。ここでは、２つのＩＣカード３００を示して説明するが、複数工程においてサービスを提供するサービス提供者の数に応じて、３つ以上のＩＣカード３００（ＩＣカード３００−１、ＩＣカード３００−２、・・・ＩＣカード３００−Ｎ）を備えるようにしても良い。ＩＣカード３００は、患者に対するサービス提供者である医師、薬剤師、看護師などに予め発行され、そのサービス提供者を識別する情報が記憶される。ＩＣカード３００は、本人認証部３１０を備えている。
本人認証部３１０は、ＩＣカード１００の本人認証部１３０と同様に、例えばＰＩＮ認証などによる本人認証を行う。
【００２３】
ＲＦＩＤタグ４００は、ＩＣチップを備えた情報媒体である。ここでは、ＲＦＩＤタグ４００は、一度書き込まれた情報が書き換えられることを防ぐために、書き換え不可のワンタイムライト型のＲＦＩＤを適用する。ここでは、１つのＲＦＩＤタグ４００を図示して説明するが、後工程にて利用される薬剤などの混注セット、医療器具などの数に応じて複数のＲＦＩＤタグ４００を用いて良い。ＲＦＩＤタグ４００には、固有の識別情報（ＲＦＩＤ＿ＩＤ）が予め記憶されており、薬剤師によって作成された薬剤、注射器などに貼付される。ＲＦＩＤタグ４００は、ハッシュ値記憶部４１０を備えている。
ハッシュ値記憶部４１０には、後述する情報サーバ６００によって生成されたハッシュ値Ａ１が、情報端末２００−２のＩＣリーダライタ２３０−２によって書き込まれ、記憶される。
【００２４】
検証端末５００は、医療機関の受付などに設置され、患者であるユーザに利用されるコンピュータ装置であり、情報を表示するディスプレイである表示部を備えている。また、検証端末５００は、入力部５１０と、通信部５２０と、ＩＣリーダライタ５３０とを備えている。入力部５１０と、通信部５２０と、ＩＣリーダライタ５３０とは、情報端末２００が備える同名の機能部と同様の機能である。入力部５１０は、ＩＣカード１００のユーザの本人認証のためのパスワード等の入力を受付ける。ＩＣリーダライタ５３０は、ＩＣカード１００と通信を行う。例えば、ＩＣリーダライタ５３０は、ＩＣカード１００に書き込まれた履歴情報を読み出す。
【００２５】
情報サーバ６００は、情報端末２００や検証端末５００などとネットワークを介して通信を行い、電子カルテ情報を記憶するとともに医療機関によって行われた一連の医療行為の正当性を検証するコンピュータ装置である。情報サーバ６００は、電子カルテ記憶部６１０と、通信部６２０と、ハッシュ値生成部６３０と、検証部６４０とを備えている。
電子カルテ記憶部６１０には、医療行為の複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報が記憶される。電子カルテ情報は、医療機関によって行われた医療行為の履歴を示す情報である。図３は、電子カルテ記憶部６１０に記憶される電子カルテ情報のデータ例を示す図である。符号ａに示す情報項目は、診察工程において入力される工程情報（診察）であり、符号ｂ１、ｂ２に示す情報項目は、薬剤作成工程において入力される工程情報（薬剤作成）であり、符号ｃに示す情報項目は、投薬工程において入力される工程情報（投薬）である。
【００２６】
工程情報（診察）に含まれる情報項目のうち、患者情報は、医療機関による診察を受けた患者を示す情報である。患者情報は、ＩＣカード１００の記憶部１１０に記憶されている患者情報が読み出されて記憶されるようにして良い。ここで、ＩＣカード１００に記憶されている患者情報は、情報端末２００−１のＩＣリーダライタ２３０−１によって読み出されて情報サーバ６００に送信され、記憶される。医師情報は、診察工程において患者の診察を行った医師を示す情報である。医師情報は、例えば、医師の氏名でも良いし、診察を行う医師に予め割り当てられたＩＤなどでも良い。医師情報は、診察時に医師によって情報端末２００−１に入力されるようにしても良いし、ＩＣカード３００−１により医師の本人認証を行う際に、ＩＣカード３００−１に予め記憶されている医師情報を読み出して情報サーバ６００に送信するようにしても良い。日付情報は、診察が行われた日付を示す情報である。時間情報は、診察が行われた時間を示す情報である。薬剤は、診察に応じて患者に投薬する薬剤を示す情報である。処方量は、薬剤を投薬する量を示す情報である。セッションＩＤは、ＩＣカード１００のセッションＩＤ生成部１５０によって生成された、関連する一連の医療行為を識別する情報である。署名データＳは、ＩＣカード１００の署名データ生成部１６０によって生成された情報である。
【００２７】
工程情報（薬剤作成）に含まれる情報項目のうち、符号ｂ１が示す情報は、薬剤作成に関する情報である。薬ＩＤは、薬剤師によって作成された薬を識別する情報である。日付情報は、薬剤師が薬剤を作成した日付を示す情報である。時間情報は、薬剤師が薬剤を作成した時間を示す情報である。原薬は、薬剤師が作成した薬剤の原薬を示す情報である。使用量は、薬剤を作成するために使用した原薬の量を示す情報である。薬剤は、薬剤師が作成した薬剤を示す情報である。ハッシュ値Ａ１は、符号ａに示す工程情報（診察）の全てと、符号ｂ１に示す工程情報（薬剤作成）である薬ＩＤから薬剤までの情報とを、ハッシュ関数を用いてハッシュ化したハッシュ値であり、情報サーバ６００によって生成される情報である。また、符号ｂ２が示す情報は、薬剤作成に関する情報に基づいて、情報サーバ６００によって生成されたハッシュ値Ａ１が記憶されるＲＦＩＤタグ４００に関する情報である。薬剤師情報は、薬剤を作成した薬剤師を示す情報である。ＲＦＩＤ＿ＩＤは、ハッシュ値Ａ１を記憶させたＲＦＩＤタグ４００を識別する情報である。
【００２８】
工程情報（投薬）に含まれる情報項目のうち、投薬者情報は、患者に投薬を行った医師または看護師などを示す情報である。患者情報は、薬剤が投薬された患者を示す情報である。日付情報は、薬剤が投薬された日付を示す情報である。時間情報は、薬剤が投薬された時間を示す情報である。薬ＩＤは、投薬された薬を識別する情報である。
これらの電子カルテ記憶部６１０に記憶されている電子カルテ情報は、アクセス権限によるアクセス制御が行われており、患者、医師、薬剤師、看護師による情報の改ざんまたは削除ができないものとする。
【００２９】
通信部６２０は、ネットワークを介して検証端末５００または情報端末２００と通信を行う。
ハッシュ値生成部６３０は、電子カルテ記憶部６１０に電子カルテ情報が記憶されると、その電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部６１０に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部６１０には記憶させずにＩＣカード１００に書き込ませる。例えば、ハッシュ値生成部６３０は、電子カルテ記憶部６１０に工程情報（診察）と工程情報（薬剤作成）が記憶された時点で、記憶された情報の全てをハッシュ関数を用いてハッシュ化しハッシュ値Ａ１を生成し、電子カルテ記憶部６１０に記憶させる。また、電子カルテ記憶部６１０に工程情報（診察）と工程情報（薬剤作成）と工程情報（投薬）とが記憶された時点で、記憶された情報の全てをハッシュ関数を用いてハッシュ化しハッシュ値Ａ２を生成し、電子カルテ記憶部６１０に記憶させずに、情報端末２００−１に送信して、ＩＣカード１００に書き込ませる。
【００３０】
検証部６４０は、検証端末５００から送信される検証要求に応じて、電子カルテ記憶部６１０に記憶された電子カルテ情報を読み出し、電子カルテ情報の検証処理を行う。ここで、検証部６４０は、検証端末５００のＩＣリーダライタ５３０がＩＣカード１００に書き込まれた患者公開鍵Ｋｐ１と履歴情報とを読み出すと、ハッシュ値生成部６３０に、電子カルテ記憶部６１０に記憶された電子カルテ情報に基づいてハッシュ値Ａ３を算出させ、算出されたハッシュ値Ａ３と、ＩＣカード１００から読み出された履歴情報に含まれるハッシュ値Ａ２とを比較し、一致すれば検証成功と判定し、一致しなければ検証失敗と判定する。
【００３１】
具体的には、検証部６４０は、検証端末５００から、セッションＩＤ（＝Ｒ´）と、患者公開鍵Ｋｐ１と、ハッシュ値Ａ２とが含まれる検証要求を受信する。検証部６４０は、受信した検証要求に含まれるセッションＩＤに対応する電子カルテ情報を電子カルテ記憶部６１０から読み出す。検証部６４０は、読み出した電子カルテ情報に含まれる電子署名データＳを、患者公開鍵Ｋｐ１によって復号し、Ｒ´（Ｋｐ２）を取り出す。検証部６４０は、取り出したＲ´（Ｋｐ２）を、サーバ秘密鍵Ｋｓ２によって復号してＲ´を取得する。ここで、サーバ秘密鍵Ｋｓ２は、サーバ公開鍵Ｋｐ２に対応する秘密鍵であり、検証部６４０の記憶領域に予め記憶される。検証部６４０は、復号したＲ´と、検証要求に含まれるセッションＩＤとが一致するか否かを判定することにより、電子署名データＳを署名検証し、患者であるユーザ本人であることを検証する。
【００３２】
次に、検証部６４０は、電子署名データＳの検証に成功すると、ハッシュ値生成部６３０に、読み出したセッションＩＤに対応する電子カルテ情報の全てをハッシュ関数でハッシュ化したハッシュ値Ａ３を生成させる。検証部６４０は、ハッシュ値生成部６３０によって生成されたハッシュ値Ａ３と、検証端末５００から送信された検証要求に含まれるハッシュ値Ａ２とを比較して、ハッシュ値Ａ２とハッシュ値Ａ３とが一致すれば、検証成功と判定する。一致しなければ、検証失敗と判定する。このようにすれば、ユーザのＩＣカード１００に記憶された情報のみによって、情報サーバ６００に記憶された電子カルテ情報を検証することができる。すなわち、従来のように、各工程における工程情報に関連する医師や薬剤師などに応じた署名データを格納する場合には、検証時に医師や薬剤師などのＩＣカード等が必要になり、ユーザのＩＣカード１００のみによっては検証を行えない場合が考えられる。これに対し、本実施形態によれば、患者であるユーザのＩＣカード１００のみで電子署名を行っていること、一連の医療行為の連続性を保持した情報であるハッシュ値Ａ２が患者であるユーザのＩＣカード１００のみに格納されることで、患者であるユーザのＩＣカード１００のみにより、一連の医療行為の正当性について検証することが可能である。
【００３３】
次に、図面を参照して、本実施形態による情報システム１の動作例を説明する。図４は、診察工程における情報システム１の動作例を示すシーケンス図である。
情報端末２００−１の入力部２１０−１が、患者の診察を行う医師からのパスワードの入力を受付けると、ＩＣリーダライタ２３０−１は、医師のＩＣカード３００−１にパスワードを送信する。ＩＣカード３００−１の本人認証部３１０−１は、予め記憶されたパスワードと、ＩＣリーダライタ２３０−１から入力されたパスワードとを比較して、医師の本人認証を行う（ステップＳ１）。ここで、本人認証が成功すると、情報端末２００−１は、ＩＣカード３００−１に記憶された医師情報を読み出す。
【００３４】
同様に、情報端末２００−１の入力部２１０−１が、診察を受ける患者からのパスワードの入力を受付けると、ＩＣリーダライタ２３０−１は、患者のＩＣカード１００にパスワードを送信する。ＩＣカード１００の本人認証部１３０は、予め記憶されたパスワードと、ＩＣリーダライタ２３０−１から入力されたパスワードとを比較して、患者の本人認証を行う（ステップＳ２）。ここで、本人認証が成功すると、情報端末２００−１は、ＩＣカード１００に記憶された患者情報を読み出す。
【００３５】
医師の本人認証と患者の本人認証との双方が成功すると、情報端末２００−１は、ＩＣカード１００に署名データＳとセッションＩＤとの取得要求を送信する（ステップＳ３）。ＩＣカード１００の乱数生成部１４０は、情報端末２００−１から送信された取得要求に応じて、乱数Ｒを生成する。セッションＩＤ生成部１５０は、乱数生成部１４０によって生成された乱数Ｒをハッシュ化したＲ´をセッションＩＤとして生成し、記憶部１１０に記憶させる。署名データ生成部１６０は、セッションＩＤ生成部１５０によって生成されたセッションＩＤ（Ｒ´）に基づいて、署名データＳを生成する（ステップＳ４）。通信部１２０は、署名データ生成部１６０によって生成された署名データＳと、セッションＩＤ生成部１５０によって生成されたセッションＩＤとを情報端末２００−１に送信する（ステップＳ５）。
【００３６】
そして、医師が患者の診察を行うと、情報端末２００−１の入力部２１０−１は、医師から入力される薬剤や処方量などの工程情報（診察）の入力を受付ける（ステップＳ６）。情報端末２００−１の通信部２２０−１は、入力された工程情報（診察）と、署名データＳと、セッションＩＤとを、情報サーバ６００に送信する（ステップＳ７）。情報サーバ６００は、情報端末２００−１から送信された工程情報（診察）と、署名データＳと、セッションＩＤとを、電子カルテ記憶部６１０に記憶させる（ステップＳ８）。
【００３７】
図５は、薬剤作成工程における情報システム１の動作例を示すシーケンス図である。情報端末２００−２の入力部２１０−２が、薬剤作成を行う薬剤師からのパスワードの入力を受付けると、ＩＣリーダライタ２３０−２は、薬剤師のＩＣカード３００−２にパスワードを送信する。ＩＣカード３００−２の本人認証部３１０−２は、予め記憶されたパスワードと、ＩＣリーダライタ２３０−２から入力されたパスワードとを比較して、薬剤師の本人認証を行う（ステップＳ１１）。ここで、本人認証が成功すると、情報端末２００−２は、ＩＣカード３００−２に記憶された薬剤師情報を読み出す。
【００３８】
薬剤師が薬剤の作成を行うと、作成した薬剤の原薬や注射器などの混注セットにＲＦＩＤを貼付する。情報端末２００−２の入力部２１０−２は、薬剤師から入力される原薬や使用量などの工程情報（薬剤作成）の入力を受付ける（ステップＳ１２）。情報端末２００−２の通信部２２０−２は、入力された工程情報（薬剤作成）を、情報サーバ６００に送信する（ステップＳ１３）。情報サーバ６００は、情報端末２００−２から送信される工程情報（薬剤作成）を、電子カルテ記憶部６１０に記憶させる（ステップＳ１４）。そして、情報サーバ６００のハッシュ値生成部６３０は、電子カルテ記憶部６１０に記憶された工程情報（診察）と工程情報（薬剤作成）とに基づいて、ハッシュ値Ａ１を生成する（ステップＳ１５）。
【００３９】
情報サーバ６００の通信部６２０は、生成したハッシュ値Ａ１を、情報端末２００−２に送信する（ステップＳ１６）。情報端末２００−２が、情報サーバ６００から送信されたハッシュ値Ａ１を受信すると、ＩＣリーダライタ２３０−２が、混注セットに貼付されたＲＦＩＤタグ４００のハッシュ値記憶部４１０に、ハッシュ値Ａ１を書き込む（ステップＳ１７）。ここで、ＩＣリーダライタ２３０−２は、ＲＦＩＤタグ４００から、ＲＦＩＤタグ４００の記憶領域に記憶されている固有の識別情報であるＲＦＩＤ＿ＩＤを読み出し、ステップＳ１１において本人認証を行った薬剤師情報とともに情報サーバ６００に送信する（ステップＳ１８）。情報サーバ６００は、情報端末２００−２から送信されるＲＦＩＤ＿ＩＤと、薬剤師情報を受信すると、電子カルテ記憶部６１０に記憶させる。
【００４０】
図６は、投薬工程における情報システム１の動作例を示すシーケンス図である。医師は、投薬する混注セットに貼付されたＲＦＩＤタグ４００を、情報端末２００−１に近接させる。情報端末２００−１のＩＣリーダライタ２３０−２は、ＲＦＩＤタグ４００のハッシュ値記憶部４１０に記憶されたハッシュ値Ａ１を読み出す（ステップＳ２１)。医師が投薬を行うと、情報端末２００−１の入力部２１０−２は、医師から入力される工程情報（投薬）の入力を受付ける（ステップＳ２２）。情報端末２００−１の通信部２２０−１は、入力部２１０−１に入力された工程情報（投薬）と、ＲＦＩＤタグ４００から読み出したハッシュ値Ａ１とを、情報サーバ６００に送信する（ステップＳ２３）。
【００４１】
情報サーバ６００の通信部６２０は、情報端末２００−１から送信されたハッシュ値Ａ１に対応する電子カルテ情報に、情報端末２００−１から送信された工程情報（投薬）を追加して記憶させる（ステップＳ２４）。情報サーバ６００のハッシュ値生成部６３０は、電子カルテ記憶部６１０に記憶された工程情報（診察）と工程情報（薬剤作成）と工程情報（投薬）とに基づいて、ハッシュ値Ａ２を生成する（ステップＳ２５）。情報サーバ６００は、ステップＳ２４において記憶させた電子カルテ情報のセッションＩＤと、ハッシュ値Ａ２とを、情報端末２００−１に送信する（ステップＳ２６）。
【００４２】
情報端末２００−１は、情報サーバ６００から送信されたセッションＩＤとハッシュ値Ａ２とを受信すると、自身が備える計時機能から、セッションＩＤとハッシュ値Ａ２とを受信した日付と、時刻とを読み出す。情報端末２００−１のＩＣリーダライタ２３０−１は、日付と、時刻と、セッションＩＤと、ハッシュ値Ａ２とを、ＩＣカード１００に送信する（ステップＳ２７）。ＩＣカード１００は、ＩＣカード３００−１から受信した日付と、時刻と、セッションＩＤと、ハッシュ値Ａ２とを、ステップＳ４において記憶されたセッションＩＤ（＝Ｒ´）に対応付けた履歴情報として記憶部１１０に記憶させる（ステップＳ２８）。
【００４３】
図７は、情報サーバ６００に記憶された電子カルテ情報の検証処理の動作例を示すシーケンス図である。検証端末５００の入力部５１０が、患者であるユーザからのパスワードの入力を受付けると、ＩＣリーダライタ５３０は、ユーザのＩＣカード１００にパスワードを送信する。ＩＣカード１００の本人認証部１３０は、予め記憶されたパスワードと、入力部５１０から入力されたパスワードとを比較して、患者の本人認証を行う（ステップＳ３１）。
【００４４】
検証端末５００の入力部５１０は、ユーザが検証を行いたい医療行為が行なわれた日付の入力を受付ける（ステップＳ３２）。検証端末５００のＩＣリーダライタ５３０は、ステップＳ３２において入力された日付に対応する履歴情報と、患者公開鍵Ｋｐ１とを読み出す（ステップＳ３３）。検証端末５００は、ＩＣカード１００から読み出した履歴情報と、患者公開鍵Ｋｐ１とを、情報サーバ６００に送信する（ステップＳ３４）。情報サーバ６００の通信部６２０が、検証端末５００から送信された履歴情報と、患者公開鍵Ｋｐ１とを受信すると、検証部６４０は、電子カルテ記憶部６１０から、履歴情報に含まれるセッションＩＤに対応する電子カルテ情報を読み出す。（ステップＳ３５）
【００４５】
本実施形態では、署名検証の際に乱数Ｒをハッシュ化したＲ´(＝セッションＩＤ)を検証用に用いているが、検証要求の際、乱数Ｒ自体を送信して署名検証を行っても良い。署名検証時に乱数Ｒを用いる場合、乱数生成部１４０は、生成した乱数を、履歴情報として記憶部１１０に記憶させる。検証端末５００のＩＣリーダライタ５３０は、ＩＣカード１００に書き込まれた患者公開鍵Ｋｐ１と、セッションＩＤと、乱数Ｒと、ハッシュ値Ａ２とを読み出し、情報サーバ６００の検証部６４０に検証要求を送信する。このとき、検証部６４０による検証は以下のように行う。すなわち、検証部６４０は、電子カルテ記憶部６１０から読み出したセッションＩＤに対応する電子カルテ情報に含まれる署名データＳを、患者公開鍵Ｋｐ１で復号することにより、ハッシュ化されたＲ´を取り出す。そして、検証部６４０は、検証端末５００から受信した乱数Ｒをハッシュ化し、署名データＳから復号したハッシュ化されたＲ´と一致するか否かを判定することにより、電子署名データＳを署名検証し、ユーザ本人であることを検証する。
また、ハッシュ化後に署名生成した場合、履歴情報には、乱数Ｒ´を記憶せず検証時に履歴情報から読み出した乱数Ｒを、ハッシュ関数にてハッシュ化し、サーバ公開鍵Ｋｐ２で暗号化してＲ´（Ｋｐ２）を生成し、検証端末５００に送信するようにしても良い。
【００４６】
検証部６４０は、読み出した電子カルテ情報に含まれる署名データＳを、患者公開鍵Ｋｐ１と、サーバ秘密鍵Ｋｓ２とに基づいて署名検証することにより、患者であるユーザの本人確認を行う（ステップＳ３６）。ここで、検証部６４０が、検証失敗と判定すれば、通信部６２０は、検証が失敗したことを示す検証結果を、検証端末５００に送信する。一方、検証成功と判定すれば、ハッシュ値生成部６３０が、電子カルテ記憶部６１０に記憶された電子カルテ情報に基づいてハッシュ値Ａ３を生成する（ステップＳ３７）。検証部６４０は、検証端末５００から受信した履歴情報に含まれるハッシュ値Ａ２と、ハッシュ値生成部６３０によって生成されたハッシュ値Ａ３とが一致するか否かを判定する。通信部６２０は、検証部６４０によって一致すると判定されれば検証成功を示す検証結果と電子カルテ情報を、一致しないと判定されれば検証失敗を示す検証結果を、検証端末５００に送信する（ステップＳ３９）。検証端末５００は、情報サーバ６００から受信した検証結果と、検証成功の場合には電子カルテ情報とを、自身が備える表示部に表示させる。ユーザは、検証端末５００に表示される検証結果を参照することにより、提供された一連の医療行為の正当性を確認することができる。
【００４７】
なお、本実施形態では、診察、薬剤作成、投薬の３段階の医療行為が行なわれる場合の例について説明したが、２段階、または４段階以上の工程の医療行為が行なわれる場合に本実施形態の構成を同様に適用しても良い。例えば、手術の工程が存在する場合には、手術に用いられる輸血バッグ、ガーゼなどにＲＦＩＤタグ４００を貼付して管理するようにしても良い。
また、本実施形態では、ハッシュ値Ａ１を書き込む媒体としてＲＦＩＤを適用する例を説明したが、バーコードを印刷したシールなどを適用しても良い。
また、本実施形態では、ユーザの可搬媒体としてＩＣカード１００を適用する例を説明したが、ＩＣカード１００の記憶部１１０に記憶される履歴情報は、ＩＣカード１００と同様の機能を持った（ＲＦＩＤ）タグバンドに書き込むようにしても良い。
【００４８】
以上説明したように、本実施形態によれば、図８に示すように、一連の医療行為に関わった注射器、薬剤、医療行為が行なわれた場所、時間等の情報や、医療行為に関わった人物（医師、薬剤師、看護師など）の情報群をハッシュ化することで、複数の工程の医療行為の連続性を記録することができる。また、ハッシュ値は、ユーザのＩＣカード１００のみに記憶させることで、ユーザのみが、自身が所持するＩＣカード１００のみによって一連の医療行為の正当性を確認することが可能となる。これにより、例えば、ある患者に投薬が行われた後に患者の症状が悪化したような場合、その患者に対してどのような医師によりどのような診察が行われ、どのような薬剤師によりどのような薬剤が作成され、どのような医師または看護師によりどのような投薬が行われたかを確認することができる。これにより、例えば、投薬する必要があったにも関わらず投薬されなかったケース、投薬があったにも関わらず記録が行われなかったケース、診察だけが行われて投薬がされなかったケース、投薬があったにも関わらず投薬しなかった記録されたケースの有無を判断することができる。これにより、ユーザは、医療ミスや、医療行為後の記録の偽装などの存在を判断することができる。
【００４９】
なお、本発明における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより医療行為の記録と検証を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５０】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【符号の説明】
【００５１】
１ 情報システム
１００ ＩＣカード
１１０ 記憶部
１２０ 通信部
１３０ 本人認証部
１４０ 乱数生成部
１５０ セッションＩＤ生成部
１６０ 署名データ生成部
２００ 情報端末
２１０ 入力部
２２０ 通信部
２３０ ＩＣリーダライタ
３００ ＩＣカード
３１０ 本人認証部
４００ ＲＦＩＤタグ
４１０ ハッシュ値記憶部
５００ 検証端末
５１０ 入力部
５２０ 通信部
５３０ ＩＣリーダライタ
６００ 情報サーバ
６１０ 電子カルテ記憶部
６２０ 通信部
６３０ ハッシュ値生成部
６４０ 検証部
【技術分野】
【０００１】
本発明は、患者が提供される医療行為を記録する技術に関する。
【背景技術】
【０００２】
特許文献１には、商店等における売買や、医療機関における医療行為等のサービスの提供者に予めＩＣ（Integrated Circuit）カードを発行し、サービス提供の際にＩＣカードを用いた本人認証を行う技術が記載されている。ここでは、電子署名技術における時刻証明を用いて、証明書に記載された時刻が、確かにそのサービスが提供された時刻であるか否かなどによりサービス提供者の正当性を検証している。特許文献２には、ＩＣカードを用いた電子署名により、医療行為における診療報酬明細書であるレセプトの正当性を検証する技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−１２６８６５号公報
【特許文献２】特開２００９−１４００５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、図９に示すように、一連の医療行為は診察、薬剤作成、投薬などの複数工程に亘って提供され、個々の工程の医療行為提供者が異なっている場合がある。例えば、薬剤作成工程においては、薬剤を作成する薬剤師が、診察工程における医師の診察結果を取り違えたり読み間違えたりすることなく、診察結果に応じた薬剤を作成することが求められる。あるいは、投薬工程において、例えば薬剤が注射器により投薬するものであれば、薬剤師によって作成された薬が取り違えられることなく、投薬されることが求められる。そこで、各工程において「薬剤が正確に生成されたかどうか」「投薬が取り違えられた事実があるかどうか」といった医療行為を時系列で記録し、内容を証明することが重要となる。したがって、患者に対して行われた一連の医療行為において、処方どおりの正しい薬が投与されたかどうか、誰（医師）が作成した処方箋を元に、誰（薬剤師）が処方し、誰（医師）によって薬が投与されたかといった行為の正しさと行為の連続性を検証できることが望ましい。また、医療過誤といった事故が起こった際、当事者である患者本人のみの意思で、医療行為における各工程の行為とその正しさを検証できることが望ましい。
【０００５】
本発明は、このような状況に鑑みてなされたもので、複数工程に亘り提供される医療行為の連携状況を記録する医療記録システムおよび医療記録方法を提供する。
【課題を解決するための手段】
【０００６】
上述した課題を解決するために、本発明は、複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、複数の工程毎の医療行為提供者に対応する情報端末と、情報端末に接続された情報サーバとを備えた医療記録システムであって、情報端末は、複数の工程毎に、工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、工程において提供された医療行為の内容を示す工程情報との入力を受付ける入力部を備え、情報サーバは、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報が記憶される電子カルテ記憶部と、電子カルテ記憶部に電子カルテ情報が記憶されると、電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませるハッシュ値算出部と、を備えることを特徴とする。
【０００７】
また、本発明は、医療記録システムが、可搬媒体に書き込まれたハッシュ値を読み出す検証端末を備え、情報サーバは、検証端末が可搬媒体に書き込まれたハッシュ値を読み出すと、ハッシュ値算出部に、電子カルテ記憶部に記憶された電子カルテ情報に基づいてハッシュ値を算出させ、算出されたハッシュ値と、読み出し部が読み出したハッシュ値とを比較し、一致すれば検証成功と判定し、一致しなければ検証失敗と判定する検証部と、を備えることを特徴とする。
【０００８】
また、本発明は、可搬媒体が、ユーザに対して予め生成された秘密鍵と公開鍵とが記憶される記憶部と、乱数を生成する乱数生成部と、乱数生成部によって生成された乱数を、ハッシュ関数を用いてハッシュ化したセッションＩＤを生成するセッションＩＤ生成部と、セッションＩＤを、記憶部から読み出した秘密鍵を用いて署名生成して電子署名データを生成する署名データ生成部と、セッションＩＤと電子署名データとを情報端末に送信する送信部と、セッションＩＤと、情報サーバから送信されるハッシュ値とが対応付けられて履歴情報として記憶される履歴情報記憶部と、を備え、情報端末は、可搬媒体から送信されたセッションＩＤと電子署名データとを受信し、セッションＩＤと電子署名データと工程情報とを対応付けて情報サーバに送信し、検証端末は、可搬媒体に記憶された履歴情報と公開鍵とを読み出して情報サーバに送信し、情報サーバの、電子カルテ記憶部には、情報端末を介して送信された、可搬媒体によって生成された電子署名データと、電子カルテ情報とが対応付けられて記憶され、検証部は、検証端末が読み出した履歴情報と公開鍵とに基づいて、電子署名データを署名検証することを特徴とする。
【０００９】
また、本発明は、情報サーバの電子カルテ記憶部には、セッションＩＤが、関連する複数工程の医療行為を識別する情報として電子カルテ情報に対応付けられて記憶されることを特徴とする。
【００１０】
また、本発明は、医療記録システムが、各工程において医療行為に用いられる医療器具に貼付されるＲＦＩＤを備え、情報端末は、ハッシュ値算出部によって算出されたハッシュ値を、後工程において用いられる医療器具に貼付されたＲＦＩＤに記憶させる書き込み部を備えることを特徴とする。
【００１１】
また、本発明は、複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、複数の工程毎の医療行為提供者に対応する情報端末と、情報端末に接続された情報サーバとを備えた医療記録システムの医療記録方法であって、情報端末が、複数の工程毎に、工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、工程において提供された医療行為の内容を示す工程情報との入力を受付けるステップと、情報サーバが、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報を記憶するステップと、電子カルテ記憶部に電子カルテ情報が記憶されると、電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませるステップと、を備えることを特徴とする。
【発明の効果】
【００１２】
以上説明したように、本発明によれば、情報端末が、複数の工程毎に、その工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、その工程において提供された医療行為の内容を示す工程情報との入力を受付け、情報サーバが、複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報を記憶し、電子カルテ情報を記憶すると、その電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部には記憶させずに可搬媒体に書き込ませるようにしたので、複数工程に亘り提供される個々の医療行為の連携状況を記録することが可能となる。これにより、複数工程に亘り提供された個々の医療行為が、正しく連携した医療行為であるか否かを検証することが可能となる。また、医療過誤といった事故が起こった際、当事者である患者本人のみの意思で、医療行為における各工程の行為とその正しさを検証できる。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施形態による情報システムが備えるコンピュータ装置の配置例を示す図である。
【図２】本発明の一実施形態による情報システムの構成を示すブロック図である。
【図３】本発明の一実施形態による電子カルテ記憶部に記憶される電子カルテ情報のデータ例を示す図である。
【図４】本発明の一実施形態による情報システムの診察工程における動作例を示すシーケンス図である。
【図５】本発明の一実施形態による情報システムの薬剤作成工程における動作例を示すシーケンス図である。
【図６】本発明の一実施形態による情報システムの投薬工程における動作例を示すシーケンス図である。
【図７】本発明の一実施形態による情報サーバに記憶された電子カルテ情報の検証処理の動作例を示すシーケンス図である。
【図８】本発明の一実施形態による一連の医療行為の関連を示す図である。
【図９】従来の一連の医療行為の関連を示す図である。
【発明を実施するための形態】
【００１４】
以下、本発明の一実施形態について、図面を参照して説明する。
図１は、本実施形態による情報システム１が備えるコンピュータ装置の配置例を示す図である。医療機関における受付などに、検証端末５００およびＩＣリーダライタ５３０が配置され、診察室には、医師により用いられる情報端末２００−１およびＩＣリーダライタ２３０−１が配置され、薬局には、薬剤師により用いられる情報端末２００−２およびＩＣリーダライタ２３０−２が配置され、病室には、医師により用いられる情報端末２００−３およびＩＣリーダライタ２３０−３が配置され、システム管理室には、システム管理者により用いられる情報サーバ６００が配置される。これらのコンピュータ装置は、ネットワークを介して接続される。
【００１５】
図２は、本実施形態による情報システム１の構成を示すブロック図である。情報システム１は、図１に示した各コンピュータ装置に加え、患者であるユーザのＩＣカード１００と、診察および投薬を行う医師のＩＣカード３００−１と、薬剤作成を行う薬剤師のＩＣカード３００−２と、薬剤等に貼付されるＲＦＩＤ（Radio Frequency IDentification）タグ４００を備えている。ここでは、医師により用いられるコンピュータ装置を情報端末２００−１の１台として、図１における情報端末２００−３の機能を兼ねるとして説明する。
【００１６】
ＩＣカード１００は、複数の工程に亘る医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体である。ＩＣカード１００は、記憶部１１０と、通信部１２０と、本人認証部１３０と、乱数生成部１４０と、セッションＩＤ生成部１５０と、署名データ生成部１６０とを備えている。
記憶部１１０には、例えば、患者公開鍵Ｋｐ１と、患者秘密鍵Ｋｓ１と、サーバ公開鍵Ｋｐ２と、患者情報と、履歴情報とが記憶される。患者公開鍵Ｋｐ１と患者秘密鍵Ｋｓ１とは、公開鍵暗号方式に基づいて予め生成され記憶された、ＩＣカード１００のユーザに固有の鍵情報である。サーバ公開鍵Ｋｐ２は、公開鍵暗号方式に基づいて生成された情報サーバ６００の秘密鍵に対応する公開鍵である。患者情報は、記憶部１１０のユーザである患者を識別する情報である。患者情報は、例えば、氏名のみでも良いし、患者に対して一意に割り当てられたＩＤ（識別情報）などでも良いし、生年月日や住所などの属性情報が含まれるようにしても良い。履歴情報は、ＩＣカード１００に対応するユーザが提供された一連の医療行為の履歴を示す情報である。例えば、履歴情報には、関連する複数工程の医療行為（セッション）を識別するセッションＩＤ、セッション毎に生成される乱数Ｒ、セッション毎の医療行為に基づいて生成されたハッシュ値Ａ２などが含まれる。
【００１７】
通信部１２０は、検証端末５００のＩＣリーダライタ５３０や情報端末２００−１のＩＣリーダライタ２３０−１と通信を行う。
本人認証部１３０は、ＩＣカード１００のユーザの本人認証を行う。例えば、本人認証部１３０は、定められたパスワードを自身の記憶領域に予め記憶し、検証端末５００や情報端末２００−１に入力され通信部１２０を介して受信するパスワードと一致するか否かを判定するＰＩＮ（Personal identification number）認証を行う。ここでは、本人認証部１３０は、予め記憶したパスワードと、入力されたパスワードとが一致すれば認証成功と判定し、一致しなければ認証失敗と判定して認証結果を出力する。
【００１８】
乱数生成部１４０は、情報端末２００−１から送信される「署名データＳとセッションＩＤとの取得要求」に応じて、乱数Ｒを生成する。
セッションＩＤ生成部１５０は、乱数生成部１４０が生成した乱数Ｒを、定められたハッシュ関数によりハッシュ化してＲ´を生成し、生成したＲ´をセッションＩＤとして記憶部１１０に記憶させる。
署名データ生成部１６０は、乱数生成部１４０によって生成された乱数Ｒに基づく署名データＳを生成する。署名データ生成部１６０は、セッションＩＤ生成部１５０によってハッシュ化されたＲ´を、サーバ公開鍵Ｋｐ２によって暗号化して暗号化データＲ´（Ｋｐ２）を生成する。そして、署名データ生成部１６０は、生成したＲ´（Ｋｐ２）を、患者秘密鍵Ｋｓ１を用いて署名生成し、電子署名データＳを生成する。ここでは、ＩＣカード１００の乱数生成部１４０が乱数Ｒを生成する例を説明するが、外部のコンピュータ装置（例えば、検証端末５００や情報端末２００−１）が生成した乱数Ｒを、通信部１２０を介して受信するようにしても良い。この場合、乱数Ｒを生成したコンピュータ装置は、生成した乱数ＲをＩＣカード１００に送信した後に、乱数Ｒを自身の記憶領域から削除する。
【００１９】
情報端末２００−１と情報端末２００−２とは同様の構成であるため、特に区別して説明する必要がない場合には情報端末２００として説明する。ここでは、２台の情報端末２００を示して説明するが、情報システム１は３台以上の情報端末２００（情報端末２００−１、情報端末２００−２、・・・情報端末２００−Ｎ）を備えるようにしても良い。情報端末２００は、複数の工程毎の医療行為提供者に対応するコンピュータ装置であり、入力部２１０と、通信部２２０と、ＩＣリーダライタ２３０とを備えている。
【００２０】
入力部２１０は、複数の工程毎に、その工程において医療行為を提供した医療行為提供者を識別する提供者識別情報と、その工程において提供された医療行為の内容を示す工程情報との入力を受付ける。例えば、診察工程においては、情報端末２００−１の入力部２１０−１に、患者に投薬する薬剤の処方箋などの情報が医師によって入力される。薬剤作成工程においては、情報端末２００−２の入力部２１０−２に、処方箋に基づいて作成された薬剤の情報が薬剤師によって入力される。投薬工程においては、情報端末２００−１の入力部２１０−１に、患者に投薬したことを示す情報が医師によって入力される。以下、診察工程において入力される情報を工程情報（診察）とし、薬剤作成工程において入力される情報を工程情報（薬剤作成）とし、投薬工程において入力される情報を工程情報（投薬）として説明する。
【００２１】
通信部２２０は、ネットワークを介して情報サーバ６００と通信を行う。
ＩＣリーダライタ２３０は、ＩＣチップが備えられるＩＣカード１００、ＩＣカード３００−１、ＩＣカード３００−２、ＲＦＩＤタグ４００などと接触型または非接触型の通信を行い、ＩＣチップに記憶された情報の読み書きを行う。例えば、ＩＣリーダライタ２３０は、ＩＣカード１００の本人認証部１３０やＩＣカード３００の本人認証部３１０などと通信して、本人認証を行う。また、ＩＣリーダライタ２３０は、情報サーバ６００のハッシュ値生成部６３０によって算出されたハッシュ値Ａ１を、後工程において用いられる薬剤や注射器などの医療器具に貼付されたＲＦＩＤタグ４００に記憶させる。
【００２２】
ＩＣカード３００−１は、診察および投薬を行う医師を識別する情報が記憶されるＩＣカードであり、ＩＣカード３００−２は、薬剤作成を行う薬剤師を識別する情報が記憶されるＩＣカードである。ここで、ＩＣカード３００−１とＩＣカード３００−２とは同様の構成であるため、特に区別して説明する必要がない場合にはＩＣカード３００として説明する。ここでは、２つのＩＣカード３００を示して説明するが、複数工程においてサービスを提供するサービス提供者の数に応じて、３つ以上のＩＣカード３００（ＩＣカード３００−１、ＩＣカード３００−２、・・・ＩＣカード３００−Ｎ）を備えるようにしても良い。ＩＣカード３００は、患者に対するサービス提供者である医師、薬剤師、看護師などに予め発行され、そのサービス提供者を識別する情報が記憶される。ＩＣカード３００は、本人認証部３１０を備えている。
本人認証部３１０は、ＩＣカード１００の本人認証部１３０と同様に、例えばＰＩＮ認証などによる本人認証を行う。
【００２３】
ＲＦＩＤタグ４００は、ＩＣチップを備えた情報媒体である。ここでは、ＲＦＩＤタグ４００は、一度書き込まれた情報が書き換えられることを防ぐために、書き換え不可のワンタイムライト型のＲＦＩＤを適用する。ここでは、１つのＲＦＩＤタグ４００を図示して説明するが、後工程にて利用される薬剤などの混注セット、医療器具などの数に応じて複数のＲＦＩＤタグ４００を用いて良い。ＲＦＩＤタグ４００には、固有の識別情報（ＲＦＩＤ＿ＩＤ）が予め記憶されており、薬剤師によって作成された薬剤、注射器などに貼付される。ＲＦＩＤタグ４００は、ハッシュ値記憶部４１０を備えている。
ハッシュ値記憶部４１０には、後述する情報サーバ６００によって生成されたハッシュ値Ａ１が、情報端末２００−２のＩＣリーダライタ２３０−２によって書き込まれ、記憶される。
【００２４】
検証端末５００は、医療機関の受付などに設置され、患者であるユーザに利用されるコンピュータ装置であり、情報を表示するディスプレイである表示部を備えている。また、検証端末５００は、入力部５１０と、通信部５２０と、ＩＣリーダライタ５３０とを備えている。入力部５１０と、通信部５２０と、ＩＣリーダライタ５３０とは、情報端末２００が備える同名の機能部と同様の機能である。入力部５１０は、ＩＣカード１００のユーザの本人認証のためのパスワード等の入力を受付ける。ＩＣリーダライタ５３０は、ＩＣカード１００と通信を行う。例えば、ＩＣリーダライタ５３０は、ＩＣカード１００に書き込まれた履歴情報を読み出す。
【００２５】
情報サーバ６００は、情報端末２００や検証端末５００などとネットワークを介して通信を行い、電子カルテ情報を記憶するとともに医療機関によって行われた一連の医療行為の正当性を検証するコンピュータ装置である。情報サーバ６００は、電子カルテ記憶部６１０と、通信部６２０と、ハッシュ値生成部６３０と、検証部６４０とを備えている。
電子カルテ記憶部６１０には、医療行為の複数の工程毎に、提供者識別情報と、工程情報とが対応付けられた電子カルテ情報が記憶される。電子カルテ情報は、医療機関によって行われた医療行為の履歴を示す情報である。図３は、電子カルテ記憶部６１０に記憶される電子カルテ情報のデータ例を示す図である。符号ａに示す情報項目は、診察工程において入力される工程情報（診察）であり、符号ｂ１、ｂ２に示す情報項目は、薬剤作成工程において入力される工程情報（薬剤作成）であり、符号ｃに示す情報項目は、投薬工程において入力される工程情報（投薬）である。
【００２６】
工程情報（診察）に含まれる情報項目のうち、患者情報は、医療機関による診察を受けた患者を示す情報である。患者情報は、ＩＣカード１００の記憶部１１０に記憶されている患者情報が読み出されて記憶されるようにして良い。ここで、ＩＣカード１００に記憶されている患者情報は、情報端末２００−１のＩＣリーダライタ２３０−１によって読み出されて情報サーバ６００に送信され、記憶される。医師情報は、診察工程において患者の診察を行った医師を示す情報である。医師情報は、例えば、医師の氏名でも良いし、診察を行う医師に予め割り当てられたＩＤなどでも良い。医師情報は、診察時に医師によって情報端末２００−１に入力されるようにしても良いし、ＩＣカード３００−１により医師の本人認証を行う際に、ＩＣカード３００−１に予め記憶されている医師情報を読み出して情報サーバ６００に送信するようにしても良い。日付情報は、診察が行われた日付を示す情報である。時間情報は、診察が行われた時間を示す情報である。薬剤は、診察に応じて患者に投薬する薬剤を示す情報である。処方量は、薬剤を投薬する量を示す情報である。セッションＩＤは、ＩＣカード１００のセッションＩＤ生成部１５０によって生成された、関連する一連の医療行為を識別する情報である。署名データＳは、ＩＣカード１００の署名データ生成部１６０によって生成された情報である。
【００２７】
工程情報（薬剤作成）に含まれる情報項目のうち、符号ｂ１が示す情報は、薬剤作成に関する情報である。薬ＩＤは、薬剤師によって作成された薬を識別する情報である。日付情報は、薬剤師が薬剤を作成した日付を示す情報である。時間情報は、薬剤師が薬剤を作成した時間を示す情報である。原薬は、薬剤師が作成した薬剤の原薬を示す情報である。使用量は、薬剤を作成するために使用した原薬の量を示す情報である。薬剤は、薬剤師が作成した薬剤を示す情報である。ハッシュ値Ａ１は、符号ａに示す工程情報（診察）の全てと、符号ｂ１に示す工程情報（薬剤作成）である薬ＩＤから薬剤までの情報とを、ハッシュ関数を用いてハッシュ化したハッシュ値であり、情報サーバ６００によって生成される情報である。また、符号ｂ２が示す情報は、薬剤作成に関する情報に基づいて、情報サーバ６００によって生成されたハッシュ値Ａ１が記憶されるＲＦＩＤタグ４００に関する情報である。薬剤師情報は、薬剤を作成した薬剤師を示す情報である。ＲＦＩＤ＿ＩＤは、ハッシュ値Ａ１を記憶させたＲＦＩＤタグ４００を識別する情報である。
【００２８】
工程情報（投薬）に含まれる情報項目のうち、投薬者情報は、患者に投薬を行った医師または看護師などを示す情報である。患者情報は、薬剤が投薬された患者を示す情報である。日付情報は、薬剤が投薬された日付を示す情報である。時間情報は、薬剤が投薬された時間を示す情報である。薬ＩＤは、投薬された薬を識別する情報である。
これらの電子カルテ記憶部６１０に記憶されている電子カルテ情報は、アクセス権限によるアクセス制御が行われており、患者、医師、薬剤師、看護師による情報の改ざんまたは削除ができないものとする。
【００２９】
通信部６２０は、ネットワークを介して検証端末５００または情報端末２００と通信を行う。
ハッシュ値生成部６３０は、電子カルテ記憶部６１０に電子カルテ情報が記憶されると、その電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、複数工程のうち最終工程ではない場合には、算出したハッシュ値を電子カルテ記憶部６１０に記憶させ、最終工程である場合には、算出したハッシュ値を電子カルテ記憶部６１０には記憶させずにＩＣカード１００に書き込ませる。例えば、ハッシュ値生成部６３０は、電子カルテ記憶部６１０に工程情報（診察）と工程情報（薬剤作成）が記憶された時点で、記憶された情報の全てをハッシュ関数を用いてハッシュ化しハッシュ値Ａ１を生成し、電子カルテ記憶部６１０に記憶させる。また、電子カルテ記憶部６１０に工程情報（診察）と工程情報（薬剤作成）と工程情報（投薬）とが記憶された時点で、記憶された情報の全てをハッシュ関数を用いてハッシュ化しハッシュ値Ａ２を生成し、電子カルテ記憶部６１０に記憶させずに、情報端末２００−１に送信して、ＩＣカード１００に書き込ませる。
【００３０】
検証部６４０は、検証端末５００から送信される検証要求に応じて、電子カルテ記憶部６１０に記憶された電子カルテ情報を読み出し、電子カルテ情報の検証処理を行う。ここで、検証部６４０は、検証端末５００のＩＣリーダライタ５３０がＩＣカード１００に書き込まれた患者公開鍵Ｋｐ１と履歴情報とを読み出すと、ハッシュ値生成部６３０に、電子カルテ記憶部６１０に記憶された電子カルテ情報に基づいてハッシュ値Ａ３を算出させ、算出されたハッシュ値Ａ３と、ＩＣカード１００から読み出された履歴情報に含まれるハッシュ値Ａ２とを比較し、一致すれば検証成功と判定し、一致しなければ検証失敗と判定する。
【００３１】
具体的には、検証部６４０は、検証端末５００から、セッションＩＤ（＝Ｒ´）と、患者公開鍵Ｋｐ１と、ハッシュ値Ａ２とが含まれる検証要求を受信する。検証部６４０は、受信した検証要求に含まれるセッションＩＤに対応する電子カルテ情報を電子カルテ記憶部６１０から読み出す。検証部６４０は、読み出した電子カルテ情報に含まれる電子署名データＳを、患者公開鍵Ｋｐ１によって復号し、Ｒ´（Ｋｐ２）を取り出す。検証部６４０は、取り出したＲ´（Ｋｐ２）を、サーバ秘密鍵Ｋｓ２によって復号してＲ´を取得する。ここで、サーバ秘密鍵Ｋｓ２は、サーバ公開鍵Ｋｐ２に対応する秘密鍵であり、検証部６４０の記憶領域に予め記憶される。検証部６４０は、復号したＲ´と、検証要求に含まれるセッションＩＤとが一致するか否かを判定することにより、電子署名データＳを署名検証し、患者であるユーザ本人であることを検証する。
【００３２】
次に、検証部６４０は、電子署名データＳの検証に成功すると、ハッシュ値生成部６３０に、読み出したセッションＩＤに対応する電子カルテ情報の全てをハッシュ関数でハッシュ化したハッシュ値Ａ３を生成させる。検証部６４０は、ハッシュ値生成部６３０によって生成されたハッシュ値Ａ３と、検証端末５００から送信された検証要求に含まれるハッシュ値Ａ２とを比較して、ハッシュ値Ａ２とハッシュ値Ａ３とが一致すれば、検証成功と判定する。一致しなければ、検証失敗と判定する。このようにすれば、ユーザのＩＣカード１００に記憶された情報のみによって、情報サーバ６００に記憶された電子カルテ情報を検証することができる。すなわち、従来のように、各工程における工程情報に関連する医師や薬剤師などに応じた署名データを格納する場合には、検証時に医師や薬剤師などのＩＣカード等が必要になり、ユーザのＩＣカード１００のみによっては検証を行えない場合が考えられる。これに対し、本実施形態によれば、患者であるユーザのＩＣカード１００のみで電子署名を行っていること、一連の医療行為の連続性を保持した情報であるハッシュ値Ａ２が患者であるユーザのＩＣカード１００のみに格納されることで、患者であるユーザのＩＣカード１００のみにより、一連の医療行為の正当性について検証することが可能である。
【００３３】
次に、図面を参照して、本実施形態による情報システム１の動作例を説明する。図４は、診察工程における情報システム１の動作例を示すシーケンス図である。
情報端末２００−１の入力部２１０−１が、患者の診察を行う医師からのパスワードの入力を受付けると、ＩＣリーダライタ２３０−１は、医師のＩＣカード３００−１にパスワードを送信する。ＩＣカード３００−１の本人認証部３１０−１は、予め記憶されたパスワードと、ＩＣリーダライタ２３０−１から入力されたパスワードとを比較して、医師の本人認証を行う（ステップＳ１）。ここで、本人認証が成功すると、情報端末２００−１は、ＩＣカード３００−１に記憶された医師情報を読み出す。
【００３４】
同様に、情報端末２００−１の入力部２１０−１が、診察を受ける患者からのパスワードの入力を受付けると、ＩＣリーダライタ２３０−１は、患者のＩＣカード１００にパスワードを送信する。ＩＣカード１００の本人認証部１３０は、予め記憶されたパスワードと、ＩＣリーダライタ２３０−１から入力されたパスワードとを比較して、患者の本人認証を行う（ステップＳ２）。ここで、本人認証が成功すると、情報端末２００−１は、ＩＣカード１００に記憶された患者情報を読み出す。
【００３５】
医師の本人認証と患者の本人認証との双方が成功すると、情報端末２００−１は、ＩＣカード１００に署名データＳとセッションＩＤとの取得要求を送信する（ステップＳ３）。ＩＣカード１００の乱数生成部１４０は、情報端末２００−１から送信された取得要求に応じて、乱数Ｒを生成する。セッションＩＤ生成部１５０は、乱数生成部１４０によって生成された乱数Ｒをハッシュ化したＲ´をセッションＩＤとして生成し、記憶部１１０に記憶させる。署名データ生成部１６０は、セッションＩＤ生成部１５０によって生成されたセッションＩＤ（Ｒ´）に基づいて、署名データＳを生成する（ステップＳ４）。通信部１２０は、署名データ生成部１６０によって生成された署名データＳと、セッションＩＤ生成部１５０によって生成されたセッションＩＤとを情報端末２００−１に送信する（ステップＳ５）。
【００３６】
そして、医師が患者の診察を行うと、情報端末２００−１の入力部２１０−１は、医師から入力される薬剤や処方量などの工程情報（診察）の入力を受付ける（ステップＳ６）。情報端末２００−１の通信部２２０−１は、入力された工程情報（診察）と、署名データＳと、セッションＩＤとを、情報サーバ６００に送信する（ステップＳ７）。情報サーバ６００は、情報端末２００−１から送信された工程情報（診察）と、署名データＳと、セッションＩＤとを、電子カルテ記憶部６１０に記憶させる（ステップＳ８）。
【００３７】
図５は、薬剤作成工程における情報システム１の動作例を示すシーケンス図である。情報端末２００−２の入力部２１０−２が、薬剤作成を行う薬剤師からのパスワードの入力を受付けると、ＩＣリーダライタ２３０−２は、薬剤師のＩＣカード３００−２にパスワードを送信する。ＩＣカード３００−２の本人認証部３１０−２は、予め記憶されたパスワードと、ＩＣリーダライタ２３０−２から入力されたパスワードとを比較して、薬剤師の本人認証を行う（ステップＳ１１）。ここで、本人認証が成功すると、情報端末２００−２は、ＩＣカード３００−２に記憶された薬剤師情報を読み出す。
【００３８】
薬剤師が薬剤の作成を行うと、作成した薬剤の原薬や注射器などの混注セットにＲＦＩＤを貼付する。情報端末２００−２の入力部２１０−２は、薬剤師から入力される原薬や使用量などの工程情報（薬剤作成）の入力を受付ける（ステップＳ１２）。情報端末２００−２の通信部２２０−２は、入力された工程情報（薬剤作成）を、情報サーバ６００に送信する（ステップＳ１３）。情報サーバ６００は、情報端末２００−２から送信される工程情報（薬剤作成）を、電子カルテ記憶部６１０に記憶させる（ステップＳ１４）。そして、情報サーバ６００のハッシュ値生成部６３０は、電子カルテ記憶部６１０に記憶された工程情報（診察）と工程情報（薬剤作成）とに基づいて、ハッシュ値Ａ１を生成する（ステップＳ１５）。
【００３９】
情報サーバ６００の通信部６２０は、生成したハッシュ値Ａ１を、情報端末２００−２に送信する（ステップＳ１６）。情報端末２００−２が、情報サーバ６００から送信されたハッシュ値Ａ１を受信すると、ＩＣリーダライタ２３０−２が、混注セットに貼付されたＲＦＩＤタグ４００のハッシュ値記憶部４１０に、ハッシュ値Ａ１を書き込む（ステップＳ１７）。ここで、ＩＣリーダライタ２３０−２は、ＲＦＩＤタグ４００から、ＲＦＩＤタグ４００の記憶領域に記憶されている固有の識別情報であるＲＦＩＤ＿ＩＤを読み出し、ステップＳ１１において本人認証を行った薬剤師情報とともに情報サーバ６００に送信する（ステップＳ１８）。情報サーバ６００は、情報端末２００−２から送信されるＲＦＩＤ＿ＩＤと、薬剤師情報を受信すると、電子カルテ記憶部６１０に記憶させる。
【００４０】
図６は、投薬工程における情報システム１の動作例を示すシーケンス図である。医師は、投薬する混注セットに貼付されたＲＦＩＤタグ４００を、情報端末２００−１に近接させる。情報端末２００−１のＩＣリーダライタ２３０−２は、ＲＦＩＤタグ４００のハッシュ値記憶部４１０に記憶されたハッシュ値Ａ１を読み出す（ステップＳ２１)。医師が投薬を行うと、情報端末２００−１の入力部２１０−２は、医師から入力される工程情報（投薬）の入力を受付ける（ステップＳ２２）。情報端末２００−１の通信部２２０−１は、入力部２１０−１に入力された工程情報（投薬）と、ＲＦＩＤタグ４００から読み出したハッシュ値Ａ１とを、情報サーバ６００に送信する（ステップＳ２３）。
【００４１】
情報サーバ６００の通信部６２０は、情報端末２００−１から送信されたハッシュ値Ａ１に対応する電子カルテ情報に、情報端末２００−１から送信された工程情報（投薬）を追加して記憶させる（ステップＳ２４）。情報サーバ６００のハッシュ値生成部６３０は、電子カルテ記憶部６１０に記憶された工程情報（診察）と工程情報（薬剤作成）と工程情報（投薬）とに基づいて、ハッシュ値Ａ２を生成する（ステップＳ２５）。情報サーバ６００は、ステップＳ２４において記憶させた電子カルテ情報のセッションＩＤと、ハッシュ値Ａ２とを、情報端末２００−１に送信する（ステップＳ２６）。
【００４２】
情報端末２００−１は、情報サーバ６００から送信されたセッションＩＤとハッシュ値Ａ２とを受信すると、自身が備える計時機能から、セッションＩＤとハッシュ値Ａ２とを受信した日付と、時刻とを読み出す。情報端末２００−１のＩＣリーダライタ２３０−１は、日付と、時刻と、セッションＩＤと、ハッシュ値Ａ２とを、ＩＣカード１００に送信する（ステップＳ２７）。ＩＣカード１００は、ＩＣカード３００−１から受信した日付と、時刻と、セッションＩＤと、ハッシュ値Ａ２とを、ステップＳ４において記憶されたセッションＩＤ（＝Ｒ´）に対応付けた履歴情報として記憶部１１０に記憶させる（ステップＳ２８）。
【００４３】
図７は、情報サーバ６００に記憶された電子カルテ情報の検証処理の動作例を示すシーケンス図である。検証端末５００の入力部５１０が、患者であるユーザからのパスワードの入力を受付けると、ＩＣリーダライタ５３０は、ユーザのＩＣカード１００にパスワードを送信する。ＩＣカード１００の本人認証部１３０は、予め記憶されたパスワードと、入力部５１０から入力されたパスワードとを比較して、患者の本人認証を行う（ステップＳ３１）。
【００４４】
検証端末５００の入力部５１０は、ユーザが検証を行いたい医療行為が行なわれた日付の入力を受付ける（ステップＳ３２）。検証端末５００のＩＣリーダライタ５３０は、ステップＳ３２において入力された日付に対応する履歴情報と、患者公開鍵Ｋｐ１とを読み出す（ステップＳ３３）。検証端末５００は、ＩＣカード１００から読み出した履歴情報と、患者公開鍵Ｋｐ１とを、情報サーバ６００に送信する（ステップＳ３４）。情報サーバ６００の通信部６２０が、検証端末５００から送信された履歴情報と、患者公開鍵Ｋｐ１とを受信すると、検証部６４０は、電子カルテ記憶部６１０から、履歴情報に含まれるセッションＩＤに対応する電子カルテ情報を読み出す。（ステップＳ３５）
【００４５】
本実施形態では、署名検証の際に乱数Ｒをハッシュ化したＲ´(＝セッションＩＤ)を検証用に用いているが、検証要求の際、乱数Ｒ自体を送信して署名検証を行っても良い。署名検証時に乱数Ｒを用いる場合、乱数生成部１４０は、生成した乱数を、履歴情報として記憶部１１０に記憶させる。検証端末５００のＩＣリーダライタ５３０は、ＩＣカード１００に書き込まれた患者公開鍵Ｋｐ１と、セッションＩＤと、乱数Ｒと、ハッシュ値Ａ２とを読み出し、情報サーバ６００の検証部６４０に検証要求を送信する。このとき、検証部６４０による検証は以下のように行う。すなわち、検証部６４０は、電子カルテ記憶部６１０から読み出したセッションＩＤに対応する電子カルテ情報に含まれる署名データＳを、患者公開鍵Ｋｐ１で復号することにより、ハッシュ化されたＲ´を取り出す。そして、検証部６４０は、検証端末５００から受信した乱数Ｒをハッシュ化し、署名データＳから復号したハッシュ化されたＲ´と一致するか否かを判定することにより、電子署名データＳを署名検証し、ユーザ本人であることを検証する。
また、ハッシュ化後に署名生成した場合、履歴情報には、乱数Ｒ´を記憶せず検証時に履歴情報から読み出した乱数Ｒを、ハッシュ関数にてハッシュ化し、サーバ公開鍵Ｋｐ２で暗号化してＲ´（Ｋｐ２）を生成し、検証端末５００に送信するようにしても良い。
【００４６】
検証部６４０は、読み出した電子カルテ情報に含まれる署名データＳを、患者公開鍵Ｋｐ１と、サーバ秘密鍵Ｋｓ２とに基づいて署名検証することにより、患者であるユーザの本人確認を行う（ステップＳ３６）。ここで、検証部６４０が、検証失敗と判定すれば、通信部６２０は、検証が失敗したことを示す検証結果を、検証端末５００に送信する。一方、検証成功と判定すれば、ハッシュ値生成部６３０が、電子カルテ記憶部６１０に記憶された電子カルテ情報に基づいてハッシュ値Ａ３を生成する（ステップＳ３７）。検証部６４０は、検証端末５００から受信した履歴情報に含まれるハッシュ値Ａ２と、ハッシュ値生成部６３０によって生成されたハッシュ値Ａ３とが一致するか否かを判定する。通信部６２０は、検証部６４０によって一致すると判定されれば検証成功を示す検証結果と電子カルテ情報を、一致しないと判定されれば検証失敗を示す検証結果を、検証端末５００に送信する（ステップＳ３９）。検証端末５００は、情報サーバ６００から受信した検証結果と、検証成功の場合には電子カルテ情報とを、自身が備える表示部に表示させる。ユーザは、検証端末５００に表示される検証結果を参照することにより、提供された一連の医療行為の正当性を確認することができる。
【００４７】
なお、本実施形態では、診察、薬剤作成、投薬の３段階の医療行為が行なわれる場合の例について説明したが、２段階、または４段階以上の工程の医療行為が行なわれる場合に本実施形態の構成を同様に適用しても良い。例えば、手術の工程が存在する場合には、手術に用いられる輸血バッグ、ガーゼなどにＲＦＩＤタグ４００を貼付して管理するようにしても良い。
また、本実施形態では、ハッシュ値Ａ１を書き込む媒体としてＲＦＩＤを適用する例を説明したが、バーコードを印刷したシールなどを適用しても良い。
また、本実施形態では、ユーザの可搬媒体としてＩＣカード１００を適用する例を説明したが、ＩＣカード１００の記憶部１１０に記憶される履歴情報は、ＩＣカード１００と同様の機能を持った（ＲＦＩＤ）タグバンドに書き込むようにしても良い。
【００４８】
以上説明したように、本実施形態によれば、図８に示すように、一連の医療行為に関わった注射器、薬剤、医療行為が行なわれた場所、時間等の情報や、医療行為に関わった人物（医師、薬剤師、看護師など）の情報群をハッシュ化することで、複数の工程の医療行為の連続性を記録することができる。また、ハッシュ値は、ユーザのＩＣカード１００のみに記憶させることで、ユーザのみが、自身が所持するＩＣカード１００のみによって一連の医療行為の正当性を確認することが可能となる。これにより、例えば、ある患者に投薬が行われた後に患者の症状が悪化したような場合、その患者に対してどのような医師によりどのような診察が行われ、どのような薬剤師によりどのような薬剤が作成され、どのような医師または看護師によりどのような投薬が行われたかを確認することができる。これにより、例えば、投薬する必要があったにも関わらず投薬されなかったケース、投薬があったにも関わらず記録が行われなかったケース、診察だけが行われて投薬がされなかったケース、投薬があったにも関わらず投薬しなかった記録されたケースの有無を判断することができる。これにより、ユーザは、医療ミスや、医療行為後の記録の偽装などの存在を判断することができる。
【００４９】
なお、本発明における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより医療行為の記録と検証を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５０】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【符号の説明】
【００５１】
１ 情報システム
１００ ＩＣカード
１１０ 記憶部
１２０ 通信部
１３０ 本人認証部
１４０ 乱数生成部
１５０ セッションＩＤ生成部
１６０ 署名データ生成部
２００ 情報端末
２１０ 入力部
２２０ 通信部
２３０ ＩＣリーダライタ
３００ ＩＣカード
３１０ 本人認証部
４００ ＲＦＩＤタグ
４１０ ハッシュ値記憶部
５００ 検証端末
５１０ 入力部
５２０ 通信部
５３０ ＩＣリーダライタ
６００ 情報サーバ
６１０ 電子カルテ記憶部
６２０ 通信部
６３０ ハッシュ値生成部
６４０ 検証部
【特許請求の範囲】
【請求項１】
複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、前記複数の工程毎の医療行為提供者に対応する情報端末と、当該情報端末に接続された情報サーバとを備えた医療記録システムであって、
前記情報端末は、
前記複数の工程毎に、当該工程において医療行為を提供した前記医療行為提供者を識別する提供者識別情報と、当該工程において提供された医療行為の内容を示す工程情報との入力を受付ける入力部を備え、
前記情報サーバは、
前記複数の工程毎に、前記提供者識別情報と、前記工程情報とが対応付けられた電子カルテ情報が記憶される電子カルテ記憶部と、
前記電子カルテ記憶部に前記電子カルテ情報が記憶されると、当該電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、前記複数工程のうち最終工程ではない場合には、算出したハッシュ値を前記電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を前記電子カルテ記憶部には記憶させずに前記可搬媒体に書き込ませるハッシュ値算出部と、
を備えることを特徴とする医療記録システム。
【請求項２】
前記医療記録システムは、前記可搬媒体に書き込まれた前記ハッシュ値を読み出す検証端末を備え、
前記情報サーバは、
前記検証端末が前記可搬媒体に書き込まれた前記ハッシュ値を読み出すと、前記ハッシュ値算出部に、前記電子カルテ記憶部に記憶された前記電子カルテ情報に基づいてハッシュ値を算出させ、算出された当該ハッシュ値と、前記読み出し部が読み出した前記ハッシュ値とを比較し、一致すれば検証成功と判定し、一致しなければ検証失敗と判定する検証部と、
を備えることを特徴とする請求項１に記載の医療記録システム。
【請求項３】
前記可搬媒体は、
前記ユーザに対して予め生成された秘密鍵と公開鍵とが記憶される記憶部と、
乱数を生成する乱数生成部と、
前記乱数生成部によって生成された乱数を、ハッシュ関数を用いてハッシュ化したセッションＩＤを生成するセッションＩＤ生成部と、
前記セッションＩＤを、前記記憶部から読み出した前記秘密鍵を用いて署名生成して電子署名データを生成する署名データ生成部と、
前記セッションＩＤと前記電子署名データとを前記情報端末に送信する送信部と、
前記セッションＩＤと、前記情報サーバから送信されるハッシュ値とが対応付けられて履歴情報として記憶される履歴情報記憶部と、を備え、
前記情報端末は、
前記可搬媒体から送信された前記セッションＩＤと前記電子署名データとを受信し、
前記セッションＩＤと前記電子署名データと前記工程情報とを対応付けて前記情報サーバに送信し、
前記検証端末は、
前記可搬媒体に記憶された前記履歴情報と前記公開鍵とを読み出して前記情報サーバに送信し、
前記情報サーバの、
前記電子カルテ記憶部には、前記情報端末を介して送信された、前記可搬媒体によって生成された前記電子署名データと、前記電子カルテ情報とが対応付けられて記憶され、
前記検証部は、
前記検証端末が読み出した前記履歴情報と前記公開鍵とに基づいて、前記電子署名データを署名検証する
ことを特徴とする請求項２に記載の医療記録システム。
【請求項４】
前記情報サーバの前記電子カルテ記憶部には、
前記セッションＩＤが、関連する前記複数工程の医療行為を識別する情報として前記電子カルテ情報に対応付けられて記憶される
ことを特徴とする請求項１から請求項３までのいずれか１項に記載の医療記録システム。
【請求項５】
前記医療記録システムは、各工程において医療行為に用いられる医療器具に貼付されるＲＦＩＤを備え、
前記情報端末は、
前記ハッシュ値算出部によって算出された前記ハッシュ値を、後工程において用いられる前記医療器具に貼付された前記ＲＦＩＤに記憶させる書き込み部を備える
ことを特徴とする請求項１から請求項４までのいずれか１項に記載の医療記録システム。
【請求項６】
複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、前記複数の工程毎の医療行為提供者に対応する情報端末と、当該情報端末に接続された情報サーバとを備えた医療記録システムの医療記録方法であって、
前記情報端末が、
前記複数の工程毎に、当該工程において医療行為を提供した前記医療行為提供者を識別する提供者識別情報と、当該工程において提供された医療行為の内容を示す工程情報との入力を受付けるステップと、
前記情報サーバが、
前記複数の工程毎に、前記提供者識別情報と、前記工程情報とが対応付けられた電子カルテ情報を電子カルテ記憶部に記憶するステップと、
前記電子カルテ記憶部に前記電子カルテ情報が記憶されると、当該電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、前記複数工程のうち最終工程ではない場合には、算出したハッシュ値を前記電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を前記電子カルテ記憶部には記憶させずに前記可搬媒体に書き込ませるステップと、
を備えることを特徴とする医療記録方法。
【請求項１】
複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、前記複数の工程毎の医療行為提供者に対応する情報端末と、当該情報端末に接続された情報サーバとを備えた医療記録システムであって、
前記情報端末は、
前記複数の工程毎に、当該工程において医療行為を提供した前記医療行為提供者を識別する提供者識別情報と、当該工程において提供された医療行為の内容を示す工程情報との入力を受付ける入力部を備え、
前記情報サーバは、
前記複数の工程毎に、前記提供者識別情報と、前記工程情報とが対応付けられた電子カルテ情報が記憶される電子カルテ記憶部と、
前記電子カルテ記憶部に前記電子カルテ情報が記憶されると、当該電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、前記複数工程のうち最終工程ではない場合には、算出したハッシュ値を前記電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を前記電子カルテ記憶部には記憶させずに前記可搬媒体に書き込ませるハッシュ値算出部と、
を備えることを特徴とする医療記録システム。
【請求項２】
前記医療記録システムは、前記可搬媒体に書き込まれた前記ハッシュ値を読み出す検証端末を備え、
前記情報サーバは、
前記検証端末が前記可搬媒体に書き込まれた前記ハッシュ値を読み出すと、前記ハッシュ値算出部に、前記電子カルテ記憶部に記憶された前記電子カルテ情報に基づいてハッシュ値を算出させ、算出された当該ハッシュ値と、前記読み出し部が読み出した前記ハッシュ値とを比較し、一致すれば検証成功と判定し、一致しなければ検証失敗と判定する検証部と、
を備えることを特徴とする請求項１に記載の医療記録システム。
【請求項３】
前記可搬媒体は、
前記ユーザに対して予め生成された秘密鍵と公開鍵とが記憶される記憶部と、
乱数を生成する乱数生成部と、
前記乱数生成部によって生成された乱数を、ハッシュ関数を用いてハッシュ化したセッションＩＤを生成するセッションＩＤ生成部と、
前記セッションＩＤを、前記記憶部から読み出した前記秘密鍵を用いて署名生成して電子署名データを生成する署名データ生成部と、
前記セッションＩＤと前記電子署名データとを前記情報端末に送信する送信部と、
前記セッションＩＤと、前記情報サーバから送信されるハッシュ値とが対応付けられて履歴情報として記憶される履歴情報記憶部と、を備え、
前記情報端末は、
前記可搬媒体から送信された前記セッションＩＤと前記電子署名データとを受信し、
前記セッションＩＤと前記電子署名データと前記工程情報とを対応付けて前記情報サーバに送信し、
前記検証端末は、
前記可搬媒体に記憶された前記履歴情報と前記公開鍵とを読み出して前記情報サーバに送信し、
前記情報サーバの、
前記電子カルテ記憶部には、前記情報端末を介して送信された、前記可搬媒体によって生成された前記電子署名データと、前記電子カルテ情報とが対応付けられて記憶され、
前記検証部は、
前記検証端末が読み出した前記履歴情報と前記公開鍵とに基づいて、前記電子署名データを署名検証する
ことを特徴とする請求項２に記載の医療記録システム。
【請求項４】
前記情報サーバの前記電子カルテ記憶部には、
前記セッションＩＤが、関連する前記複数工程の医療行為を識別する情報として前記電子カルテ情報に対応付けられて記憶される
ことを特徴とする請求項１から請求項３までのいずれか１項に記載の医療記録システム。
【請求項５】
前記医療記録システムは、各工程において医療行為に用いられる医療器具に貼付されるＲＦＩＤを備え、
前記情報端末は、
前記ハッシュ値算出部によって算出された前記ハッシュ値を、後工程において用いられる前記医療器具に貼付された前記ＲＦＩＤに記憶させる書き込み部を備える
ことを特徴とする請求項１から請求項４までのいずれか１項に記載の医療記録システム。
【請求項６】
複数の工程に亘る一連の医療行為の提供を受けるユーザを識別するユーザ識別情報が書き込まれた可搬媒体と、前記複数の工程毎の医療行為提供者に対応する情報端末と、当該情報端末に接続された情報サーバとを備えた医療記録システムの医療記録方法であって、
前記情報端末が、
前記複数の工程毎に、当該工程において医療行為を提供した前記医療行為提供者を識別する提供者識別情報と、当該工程において提供された医療行為の内容を示す工程情報との入力を受付けるステップと、
前記情報サーバが、
前記複数の工程毎に、前記提供者識別情報と、前記工程情報とが対応付けられた電子カルテ情報を電子カルテ記憶部に記憶するステップと、
前記電子カルテ記憶部に前記電子カルテ情報が記憶されると、当該電子カルテ情報を、ハッシュ関数を用いてハッシュ化してハッシュ値を算出し、前記複数工程のうち最終工程ではない場合には、算出したハッシュ値を前記電子カルテ記憶部に記憶させ、最終工程である場合には、算出したハッシュ値を前記電子カルテ記憶部には記憶させずに前記可搬媒体に書き込ませるステップと、
を備えることを特徴とする医療記録方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１１−１９２０４７（Ｐ２０１１−１９２０４７Ａ）
【公開日】平成２３年９月２９日（２０１１．９．２９）
【国際特許分類】
【出願番号】特願２０１０−５７９９７（Ｐ２０１０−５７９９７）
【出願日】平成２２年３月１５日（２０１０．３．１５）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
【公開日】平成２３年９月２９日（２０１１．９．２９）
【国際特許分類】
【出願日】平成２２年３月１５日（２０１０．３．１５）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
[ Back to top ]